Indikator für eine Kompromittierung
IoC · Eine konkrete Spur, die darauf hinweist, dass ein System kompromittiert wurde: eine schädliche IP-Adresse oder Domäne, der Hash-Wert einer schädlichen Datei, ein ungewöhnlicher Registereintrag oder eine verdächtige Netzwerkverbindung.
- 01
Warum es wichtig ist
Wenn ein Angriff an einer Stelle erkannt wird, ermöglichen die Spuren, die er hinterlässt, die Suche nach demselben Angreifer an anderer Stelle. Einer der ersten Schritte in der Vorfallreaktion ist das Sammeln von Indikatoren und das Absuchen der gesamten Umgebung. Da Angreifer Adressen und Dateien oft wechseln, sollten Indikatoren zusammen mit Verhaltensüberwachung verwendet werden.
- 02
Beispiel
Der Hash-Wert einer schädlichen Datei, die auf einem Server gefunden wurde, wird ermittelt und auf jedem Computer gesucht. Dieselbe Datei taucht auf zwei Laptops auf, was zeigt, dass der Angriff nicht auf einen einzelnen Server beschränkt war.
- 03
Häufiger Fehler
Nach Indikatoren erst zu suchen, wenn die Bereinigung abgeschlossen ist. Die Suche gehört in die Bereinigung; sonst bleibt ein Zugangspunkt, den der Angreifer behalten hat, offen und der Vorfall wiederholt sich.
- 04
Verwandte Begriffe
Passende Leistungen und Ratgeber
Über Ihr Projekt sprechen.
Erzählen Sie uns Ihren Bedarf; den Umfang klären wir gemeinsam.